Windows не загрузившись до конца перезагружает компьютер и так по кругу

При загрузке Windows 2000 после появления заставочной картинки (там где логотип и шкала загрузки бежит), когда шкала доходит до конца (т.е. после этого должен появится рабочий стол) компьютер перезагружается и все повторяется снова.
В безопасном режиме загружается.
У меня такая проблема уже второй раз. Первый раз я удалил системный раздел, отформатировал вновь созданный диск C: и поставил Windows. Диск D: со всей информацией остался (на диске C: у меня программы, на D: информация, рабочие файлы). Благополучная работа продлилась чуть больше недели и вот опять. Причем вчера ничего не предвещало беды - работа была завершена без проблем, как и обычно.
И я даже не знаю, вирус это или железо барахлит.
Вам известен вирус, который совершает такое злодеяние?

Пожалуйста, сделайте в безопасном режиме логи AVZ и Hijackthis (п.п. 8-12 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]). В дополнение, сделайте лог , про который написано здесь - [url]http://virusinfo.info/showthread.php?t=10387[/url] . Логи следует прикрепить к теме.

Сканирование провел. Файлы прилагаю.
И еще я разобрался в источнике ошибки. Это драйвера видео карточки. Сейчас я загружаюсь в режиме VGA, и все загружается нормально, за исключением того, что у меня 16 цветов и разрешение 640х480. =( При удалении драйверов система загружается в штатном режиме, но опять же настройки монитора - минимальные. Ставлю драйвера заново - история повторяется.
Но до этого они же работали нормально и я никаких манипуляций с ними не производил. Что могло произойти не понимаю.

Выполнить скрипт:

[CODE]begin
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrSvc('kprof');
BC_QrSvc('poof');
BC_DeleteSVC('runtime2');
BC_DeleteSVC('runtime');
BC_DeleteSVC('kprof');
BC_DeleteSVC('poof');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки поискать через AVZ [B]walign.exe[/B]
Если найдется добавить в карантин.
Загрузить карантин по ссылке вверху темы.

Файл walign.exe через AVZ не нашел, но после выполнения скрипта драйвера стали запускаться. Спасибо огромное. =)
А это все? Что нужно делать, чтобы это не повторялось?

Пока, повторите, пожалуйста, логи в обычном режиме - имеет смысл посмотреть, не осталось ли чего ненужного.

Сделал логи. Судя по отчетам, что-то там осталось.
Кстати, первый раз я попытался просканировать систему в обычном режиме загрузки, и на 91% программа AVZ выдала кучу окошек с ошибкой и продолжала их выдавать с характерным сигналом, пока я ее не завершил через Alt+Ctrl+Del.
Тогда я провел сканирование в Безопасном режиме. Там все нормально прошло.

пару руткитов и ещё что-то что с помощью их скрываться ;)

сначала
Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] ) :
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
Numb уже написал продолжение эпопеи :

Загрузитесь в обычном режиме. На время выполнения скрипта, отключитесь от сети и отключите антивирус. Далее: программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\SYSTEM32\DRIVERS\runtime2.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\DRIVERS\netdtect.sys','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\runtime2.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\netdtect.sys');
Bc_Deletesvc('runtime2');
Bc_Importall;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, загрузите карантин AVZ по ссылке [url]http://virusinfo.info/upload_virus.php?tid=12250[/url] и сделайте новые логи, начиная с п. 10 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]

Строку пофиксил. Скрипт выполнил. Карантин загрузил. Логи сделал.

Удалите задание в Планировщике.

Сообщите, что используется из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Служба удаленного управления реестром)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
>> Безопасность: разрешен автоматический вход в систему
[/code]
Остальное будем поправлять.

В карантине пришли:
C:\WINDOWS\SYSTEM32\DRIVERS\runtime2.sys - троянская программа Rootkit.Win32.Agent.ey
C:\WINDOWS\SYSTEM32\DRIVERS\netdtect.sys - троянская программа Rootkit.Win32.Agent.dp (по классификации Касперского).
В дополнение к тому, что написал [b]Bratez[/b]: в Win2k нет встроенного сетевого экрана, в логах никакого firewall-а третьего производителя тоже не видно. Крайне рекомендуется, если, конечно, этого не делали, поставить все критические заплатки от Microsoft и установить и настроить персональный сетевой экран. Обсуждение бесплатных программ такого рода на форуме virusinfo.info велось здесь: [url]http://virusinfo.info/showthread.php?t=3721[/url]

Я не знаю, как удалять задания в планировщике и даже как их просмотреть не знаю. Но я могу его отключить в службах, что я сделал.

Используется в смысле разрешено. Тогда вот:
>> Службы: разрешена служба RemoteRegistry (Служба удаленного управления реестром)
>> Службы: служба TlntSvr (Telnet) Отключена. Вручную.
>> Службы: служба Schedule (Планировщик заданий). Отключил.
>> Службы: служба mnmsrvc (NetMeeting Remote Desktop Sharing) Отключена. Вручную.
>> Безопасность: разрешен автозапуск программ с CDROM - не помню где это смотреть.
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) - не знаю что это. Если запретить, как же на них писать данные?
>> Безопасность: к ПК разрешен доступ анонимного пользователя - не знаю где смотреть.
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX - я посмотрел в настройках безопасности ИЕ, там нет такой строки. Между тем, все подписанные элементы у меня разрешены, неизвестные либо запрещены, либо "предлагать".
>> Безопасность: Разрешены терминальные подключения к данному ПК - не знаю, что это и где это.
>> Безопасность: Разрешена отправка приглашений удаленному помошнику - вроде встречал где-то, но не помню где смотреть.
>> Безопасность: разрешен автоматический вход в систему - разрешен.

Смотреть задания: Панель управления -- Назначенные задания.

[QUOTE='Mio;133142']Используется в смысле разрешено.[/QUOTE]
Используется - в смысле надо вам для нормальной работы. Для отключения остального вам скрипт выдадут.

Вот скрипт:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fDenyTSConnections', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
(оставил автозапуск CD и автоматический вход в систему).

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE]>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) - не знаю что это. Если запретить, как же на них писать данные?[/QUOTE]
Это "скрытый" доступ по сети для администратора. Для локальных пользователей ничего не меняет.

[quote=PavelA;133143]Смотреть задания: Панель управления -- Назначенные задания.[/quote]
А, ну туда я заходил. Там нет никаких заданий.

Скрипт выполнил.
Но возникла маленькая проблемка. У меня стоит программа Rainlendar - календарь на рабочем столе. Он перестал отображаться. Переустановка не помогла.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\netdtect.sys - [B]Rootkit.Win32.Agent.dp[/B] (DrWEB: Trojan.NtRootKit.319)[*] c:\\windows\\system32\\drivers\\runtime2.sys - [B]Rootkit.Win32.Agent.ey[/B] (DrWEB: Trojan.NtRootKit.321)[/LIST][/LIST]